Просмотр кода страницы Приём результатов уязвимостей Google Artifact Registry


= Приём результатов уязвимостей Google Artifact Registry =
Эта интеграция управляется и развёртывается через '''Security Operations'''.

Приоритизируйте уязвимости образов контейнеров Google Artifact Registry с контекстом времени выполнения из производства.

== Начало работы ==

== Обзор ==
Интеграция '''Ключ-АСТРОМ''' с '''Google Artifact Registry''' позволяет унифицировать и контекстуализировать результаты безопасности по инструментам и продуктам, обеспечивая центральную приоритизацию, визуализацию и автоматизацию.

'''Google Artifact Analysis''' генерирует результаты уязвимостей для образов контейнеров, загруженных в '''Artifact Registry'''. Платформа '''Ключ-АСТРОМ''' наблюдает за сущностями времени выполнения, такими как контейнеры, связанными с этими образами. Приём результатов уязвимостей из '''Artifact Registry''' помогает анализировать и приоритизировать эти результаты в контексте ваших производственных приложений.

== Варианты использования ==
С принятыми данными вы можете реализовать различные сценарии, такие как:

* Визуализация и анализ результатов безопасности
* Обнаружение пробелов в покрытии результатов безопасности
* Автоматизация и оркестрация результатов безопасности

== Требования ==
Ниже приведены требования для '''Google Cloud Platform''' и '''Ключ-АСТРОМ'''.

=== Требования Google Cloud Platform ===

* Установите и настройте последнюю версию '''GCP CLI'''.
* Включите '''Google Cloud Infrastructure Manager API'''.
* Настройте сервисную учётную запись '''Google Cloud''' для использования с '''Infrastructure Manager'''.
* Убедитесь, что тема '''Pub/Sub''' по умолчанию <code>container-analysis-occurrences-v1</code> существует.

=== Требования Ключ-АСТРОМ ===

* Сгенерируйте токен доступа с областью <code>openpipeline.events_security</code> и сохраните его для дальнейшего использования.

== Настройка интеграции ==

# Опционально: при первом использовании '''gcloud CLI''' войдите в систему и настройте свой проект.
<pre>
gcloud auth login
gcloud config set project <PROJECT_ID>
gcloud config set compute/region <REGION>
</pre>

# Сохраните токен доступа '''Ключ-АСТРОМ''' как секрет в '''GCP''', выполнив следующую команду в '''GCP CLI'''.
<pre>
echo -n "<Astromkey access token>" | gcloud secrets create dt-security-api-token --data-file=-

</pre>Замените <code>&#x3C;astromkey access token&#x3E;</code> на сгенерированный токен для приёма событий безопасности.

Опционально: назовите секрет в соответствии с вашими стандартами. Имя по умолчанию в команде — <code>dt-security-api-token</code>. Этот идентификатор используется на следующих шагах.

# Клонируйте репозиторий <code>cloud-snippets</code> с открытым исходным кодом '''Ключ-АСТРОМ''' из '''GitHub''' и перейдите в каталог <code>gcp/google-artifact-registry-security-integration</code>.
<pre>
git clone --filter=blob:none --sparse https://github.com/astromkey-oss/cloud-snippets.git
cd cloud-snippets
git sparse-checkout set gcp/google-artifact-registry-security-integration
cd gcp/google-artifact-registry-security-integration
</pre>

# Создайте файл <code>terraform/terraform.tfvars</code> с соответствующими значениями переменных. Вы можете использовать образец файла, предоставленный в <code>terraform/terraform.tfvars.example</code>. Пример содержимого:
<pre>
project_id             = "PROJECT_ID"
region                 = "europe-west1"
gcp_org_id             = "123456789"
gcp_org_name           = "your-organization"
dt_base_url            = "https://MY_ENV.live.astromkey.com"
dt_api_token_secret_id = "dt-security-api-token"
</pre>Используйте тот же идентификатор секрета для сохранённого токена '''Ключ-АСТРОМ''' из шага 2 (например, <code>dt-security-api-token</code>).

Полный список переменных можно найти в файле <code>terraform/variables.tf</code>.

# Создайте развёртывание '''Infrastructure Manager''', выполнив следующую команду:
<pre>
gcloud infra-manager deployments apply \
  projects/<PROJECT_ID>/locations/<REGION>/deployments/artifact-analysis-dt-export \
  --service-account projects/<PROJECT_ID>/serviceAccounts/<SERVICE_ACCOUNT_EMAIL> \
  --local-source="terraform" \
  --inputs-file="terraform/terraform.tfvars"
</pre>Где <code>SERVICE_ACCOUNT_EMAIL</code> — это электронная почта сервисной учётной записи '''Google Cloud''' с разрешениями на использование '''Infrastructure Manager''', а <code>PROJECT_ID</code> и <code>REGION</code> соответствуют проекту и региону, где будет создано развёртывание '''Infrastructure Manager'''.

# После того как произойдут первые сканирования и будут отправлены в '''Ключ-АСТРОМ''', проверьте события, выполнив следующий запрос в '''Notebooks''':
<pre>
fetch security.events
| filter dt.system.bucket == "default_securityevents"
| filter event.kind == "SECURITY_EVENT"
    AND event.provider == "Google Artifact Registry"
</pre>

# Чтобы удалить развёртывание, связанное с интеграцией, выполните:
<pre>
gcloud infra-manager deployments delete \
  projects/<PROJECT_ID>/locations/<REGION>/deployments/artifact-analysis-dt-export
</pre>

== Детали ==

=== Как это работает ===
'''Интеграция Google Artifact Registry''' — результаты уязвимостей проходят из '''Artifact Registry''' через '''Pub/Sub''' и '''Cloud Run''' в '''OpenPipeline''' '''Ключ-АСТРОМ''', где они сохраняются как события безопасности.

'''События принимаются в Ключ-АСТРОМ'''

События '''Google Artifact Analysis''' отправляются в тему '''Google Pub/Sub''', которая запускает функцию '''Cloud Run'''. Все события, поступающие в тему <code>container-analysis-occurrences-v1</code>, пересылаются в функцию '''Cloud Run'''.

Функция '''Cloud Run''' предварительно обрабатывает события и отправляет их в '''Ключ-АСТРОМ''' с помощью выделенной конечной точки приёма событий безопасности '''OpenPipeline'''. Принимаются только события с <code>kind: VULNERABILITY</code>; все остальные пропускаются.

'''Результаты безопасности обрабатываются и сохраняются'''

Принятые данные сопоставляются с '''Семантическим словарём Ключ-АСТРОМ'''.

Данные хранятся в '''Ключ-АСТРОМ''' в унифицированном формате в бакете по умолчанию <code>default_securityevents</code>.

== Лицензирование и затраты ==
Информацию о выставлении счетов см. в разделе «События».

== Часто задаваемые вопросы ==
'''Какая модель данных используется для событий безопасности из Google Artifact Registry?''' События результатов уязвимостей хранят отдельные результаты уязвимостей, о которых сообщается для каждого затронутого образа контейнера.

'''Откуда поступают полные данные об уязвимостях?''' '''Google Artifact Analysis''' сообщает очень ограниченные данные в сообщении '''Pub/Sub''', отправляемом в <code>container-analysis-occurrences-v1</code>. Чтобы дополнить эти данные, функция '''Cloud Run''' вызывает следующие '''API''':

* <code>Artifact Analysis project.occurrences.get</code>
* <code>Artifact Registry projects.locations.repositories.packages.tags.get</code>

Сообщаются только occurrences с <code>kind: VULNERABILITY</code>.

'''Какие дополнительные поля добавляются к событиям, принятым из Google Artifact Registry?''' Пространство имён <code>gcp</code> добавляется для хранения информации, связанной с '''GCP'''.

'''Как нормализуется оценка риска для результатов Google Artifact Registry?''' '''Ключ-АСТРОМ''' нормализует серьёзность и оценки риска для всех результатов, принятых через эту интеграцию. Это помогает согласованно приоритизировать результаты независимо от их источника.

* <code>dt.security.risk.level</code> сопоставляется из эффективного уровня серьёзности, определённого '''Google Artifact Registry'''.
* <code>dt.security.risk.score</code> сопоставляется напрямую из эффективного уровня серьёзности.

{| class="wikitable"
!dt.security.risk.level (сопоставлено из finding.severity)
!dt.security.risk.score
|-
|CRITICAL → CRITICAL
|10,0
|-
|HIGH → HIGH
|8,9
|-
|MEDIUM → MEDIUM
|6,9
|-
|LOW → LOW
|3,9
|-
|MINIMAL → NONE
|0,0
|-
|SEVERITY_UNSPECIFIED → NOT_AVAILABLE
|0,0
|}
'''Как устранить неполадки, если события не отображаются в Ключ-АСТРОМ?''' Если события не отображаются в '''Ключ-АСТРОМ''', проверьте логи функции '''Cloud Run''':

* В '''Google Cloud Console''' перейдите в '''Cloud Run functions''' > <code>dt-artifact-analysis</code> (или имя вашей функции, если вы его изменили) > '''Logs'''.
* Отфильтруйте по <code>astromkey</code>.
* Если события отправляются в '''Ключ-АСТРОМ''', вы увидите сообщение <code>astromkey ingest successful</code>.
* Если события не отправляются в '''Ключ-АСТРОМ''', вы увидите сообщение <code>astromkey ingest failed</code> с подробностями ошибки.